blogセキュリティで気になった事をダラダラと。偽サイトを使用した特殊詐欺事件が各メディアで報じられました。www.itmedia.co.jpその後も同様の手口により金銭が窃取される事案が全国各地で発生しています。ニュース記事などから入手可能な事案は以下の通りです。※12※1www.asahi.com※2https://www.com-net2.city.hiroshima.jp/sagotani/%E3%81%8A%E7%9F%A5%E3%82%89%E3%81%9B/%E3%81%BE%E3%81%A1%E3%81%AE%E3%81%8A%E7%9F%A5%E3%82%89%E3%81%9B/?action=common_download_main&upload_id=1757※3https://www.city.satsumasendai.lg.jp/www/contents/1508631040318/files/3.pdf※4www.sankei.com※5www.asahi.com※6www.chunichi.co.jp※7www.gaccom.jp※8www.gaccom.jp※9www.saitama-np.co.jp※10tokai-tv.com※11www.nishinippon.co.jp※12www3.nhk.or.jp本記事では、東京地方検察庁の偽サイトを使用した特殊詐欺に関して現時点で確認できていることをまとめてみたいと思います。東京地方検察庁の偽サイトについて一連の特殊詐欺事件で使用されている東京地方検察庁の偽サイトは以下のような外観を持ちます。一見すると本物のサイトと見分けがつきませんが、以下の2か所が本物サイトには存在しません。一つ目はページ下部の[事件内容]リンク。一つは画面右上の[調査中事件]リンクです。[事件内容]リンクをクリックすると、架空のマネーロンダリング事件の内容を記載したPDFファイルがダウンロードされます。2019年7月2日時点の最新版であり、以下の通り過去何度も更新されています。望(37)[調査中事件]リンクをクリックすると、今度は氏名と事件番号を入力させるフォームが登場します。この入力フォームには適当な文字を入れたとしてもエラーが表示され、次に進むことができません。ソースコードを見てみると、次に進むためのヒントがあります。ファイルが存在し、当該ファイルに定義された氏名と事件番号が入力値と一致する場合のみ、次の画面に遷移できるという仕掛けになっているようです。以下のような内容が定義されています。一部マスクしています。ここで定義された、姓(lastname)、名(firstname)、事件番号(fhNum)を入力することで、先に進むことができます。確認する限り、事件番号は固定値(011046381849)で、姓名はいずれもUnicodeエスケープシーケンスで表現されています。先に進むと、東京地方裁判所を模したハンコが押された”通達事項”なるページの登場です。参考人の欄に、前頁で入力した氏名が表示される仕掛けになっています。捜査に協力せよ、他言無用、正当な財産を所有することを証明せよ、と記載されています。犯行の手口についてこのような偽サイトを用意した上で、犯行グループは電話口で被害者を偽サイトに誘導し、フォームへの入力を促し、偽物の裁判所の文書を提示します。被害者の口座が事件に使用されている可能性があり、口座凍結を回避するためには金融庁の口座に資金を移動することでその正当性を確認する必要がある、という何とも怪しげな文句で被害者に銀行口座の操作を実行させるようです。実害には至らなかったものの、同様の手口に遭遇された方のブログが公開されています。名乗って、電話口でIPアドレスを伝えて偽サイトに誘導するようです。名乗っているようです。追記)そして、犯人との電話でのやり取りを文字に起こして公開してくれている方もいました。追記終わり)さらにTwitterではこんなツイートもありました。050電話から警視庁捜査一課と名乗る人から電話かかって来た。相手の詐欺野郎、私のフルネーム知ってた。2018情報提供してきた!内容はほぼコレ。検察庁のコピーサイトに誘導して、実名が記載されている事件ページ?を見せつつ、預金を金融庁の査察用口座に移すよう言ってくる。ファイルを更新し、偽サイトをオープンな状態にした上で架電するという段取りを踏んでいるように見えます。サイトが開いているのは、平日の午前10時~午後1時の時間帯が多いようです。前述の報道内容から、ターゲットは30代~40代の女性であり、犯行グループはターゲットの氏名と連絡先を把握した上で攻撃を仕掛けてくるように見受けられます。偽サイトのIPアドレスは時折変更されるようで、監視の目を掻い潜ろうとしているかのように見えます。これまで以下のIPアドレスで公開されていた形跡が確認できています。配下のIPアドレスです。追記)2019年3月12日現在、新たに以下の5件のIPアドレスで東京地方検察庁の偽サイトが稼働していることが確認できました。98.126.24.14698.126.24.14798.126.24.14898.126.24.14998.126.24.1502018年2月の時点で、それまで活動中であった偽サイトが全てメンテナンス中のステータスとなりましたが、その際の状況を記載しておきます。メンテナンス中のサイトにアクセスすると、以下の画面が表示されます。通達事項のページにアクセスすると、ファイルが存在しないというエラー画面が表示されます。沈静化したと思われましたが、新たな偽サイトが稼働を始めたことで、活動が再開する可能性があります。これまでは平日日中帯にのみ偽サイトが稼働していましたが、2019年3月3日現在は日曜日の16時台に偽サイトが稼働していることが確認できたため、なりすまし電話を行う時間帯も変化する可能性があります。引き続きご注意ください。名乗る電話は詐欺です。ハンコ付きのWebページには何の効力もありません。電話で人の口座を操作するなんぞ、失礼極まりありません。知らない人からの電話は疑ってかかりましょう。その他気になること(メモ)本記事で取り上げた東京地方検察庁の偽サイトには、少し違和感を覚える特徴があります。そのような点をメモとして残しておきます。refreshのコメント偽サイトのルートディレクトリにアクセスすると、以下の応答が返ってきます。これにより、被害者にIPアドレスのみでアクセスさせ、偽サイトが存在するディレクトリに誘導するということを行っているようです。気になるのは、metaタグの直前の中国語のコメントです。いう意味で、中国語で記載された初心者向けのHTML入門サイトでよく見るコメントです。中国語を理解する人物が、うっかりコメント込みでコピペした結果とも考えられます。Officeで作成されているようです。作成日付を確認すると、2018年6月版がGMT+4、2018年4月版がGMT+5の日時となっています。このタイムゾーンの違いは、国外で作成されたものである可能性を感じさせます。最後にザッと駆け足で書いたため、読みづらい点、まとまっていない点が多々あるかと思います。本記事に記載した情報はTwitterで以下の方々とのやり取りの中で収集したものです。更新履歴2019年7月15日偽サイトのIPアドレスと架空の事件を示すPDFの内容を更新。事件一覧の追加、その他気になること(メモ)の追加、謝辞追加、その他文言修正。リンク切れの修正、事件内容PDFの更新。偽サイトのIPアドレスを更新。偽サイトのIPアドレスを更新。事件一覧を更新、偽サイトのIPアドレスを更新。2018年12月時点でアクティブだった5IPアドレスがメンテナンス中のステータスになったことを追記。偽サイトのIPアドレスを更新。偽サイトのIPアドレスを更新。